Управление туннелированием

Настройка GRE-туннелей

GRE (англ. Generic Routing Encapsulation — общая инкапсуляция маршрутов) — протокол туннелирования сетевых пакетов. Его основное назначение — инкапсуляция пакетов сетевого уровня сетевой модели OSI в IP-пакеты. GRE может использоваться для организации VPN на 3-м уровне модели OSI. В маршрутизаторе ESR реализованы статические неуправляемые GRE-туннели, то есть туннели создаются вручную путем конфигурирования на локальном и удаленном узлах. Параметры туннеля для каждой из сторон должны быть взаимосогласованными или переносимые данные не будут декапсулироваться партнером.

Алгоритм настройки

Пример настройки IP-GRE-туннеля

Задача:

Организовать L3-VPN между офисами компании через IP-сеть, используя для туннелирования трафика протокол GRE.

• в качестве локального шлюза для туннеля используется IP-адрес 115.0.0.1;
• в качестве удаленного шлюза для туннеля используется IP-адрес 114.0.0.10;
• IP-адрес туннеля на локальной стороне 25.0.0.1/24.

Решение:

Предварительно на маршрутизаторах должны быть настроены интерфейсы для связи с сетью WAN разрешено получение пакетов протокола GRE из зоны безопасности, в которой работают интерфейсы, подключенные к сети WAN.

Создадим туннель GRE 10:

esr(config)# tunnel gre 10

Укажем локальный и удаленный шлюз (IP-адреса интерфейсов, граничащих с WAN):

esr(config-gre)# local address 115.0.0.1
esr(config-gre)# remote address 114.0.0.10

Укажем IP-адрес туннеля 25.0.0.1/24:

esr(config-gre)# ip address 25.0.0.1/24

Также туннель должен принадлежать к зоне безопасности, для того чтобы можно было создать правила, разрешающие прохождение трафика в firewall. Принадлежность туннеля к зоне задается следующей командой:

esr(config-gre)# security-zone untrusted

Включим туннель:

esr(config-gre)# enable
esr(config-gre)# exit

На маршрутизаторе должен быть создан маршрут до локальной сети партнера. В качестве интерфейса назначения указываем ранее созданный туннель GRE:

esr(config)# ip route 172.16.0.0/16 tunnel gre 10 

После применения настроек трафик будет инкапсулироваться в туннель и отправляться партнеру, независимо от наличия GRE-туннеля и правильности настроек с его стороны.

Опционально для GRE-туннеля можно указать следующие параметры:

• Включить вычисление и включение в пакет контрольной суммы заголовка GRE и инкапсулированного пакета для исходящего трафика:

  esr(config-gre)# local checksum

  CODE

• Включить проверку наличия и корректности контрольной суммы GRE для входящего трафика:

  esr(config-gre)# remote checksum

  CODE

• Указать уникальный идентификатор:

  esr(config-gre)# key 15808

  CODE

• Указать значение DSCP, MTU, TTL:

  esr(config-gre)# dscp 44
  esr(config-gre)# mtu 1426
  esr(config-gre)# ttl 18

  CODE

• Включить и настроить механизм keepalive:

  esr(config-gre)# keepalive enable
  esr(config-gre)# keepalive timeout <TIME>
  esr(config-gre)# keepalive retries <VALUE>

  CODE

Состояние туннеля можно посмотреть командой:

esr# show tunnels status gre 10

Счетчики входящих и отправленных пакетов можно посмотреть командой:

esr# show tunnels counters gre 10

Конфигурацию туннеля можно посмотреть командой:

esr# show tunnels configuration gre 10

Настройка туннеля IPv4-over-IPv4 производится аналогичным образом.

При создании туннеля необходимо в firewall разрешить протокол GRE (47).

Настройка DMVPN

DMVPN (Dynamic Multipoint Virtual Private Network) — технология для создания виртуальных частных сетей, с возможностью динамического создания туннелей между узлами. Преимуществом данного решения является высокая масштабируемость и легкость настройки при подключении филиалов к головному офису. DMVPN используется в топологии Hub-and-Spoke, и позволяет строить прямые VPN туннели Spoke-to-Spoke в дополнение к обычным Spoke-to-Hub туннелям. Это означает, что филиалы смогут общаться друг с другом напрямую, без необходимости прохождения трафика через Hub.

Чтобы установить такое соединение, клиенты (NHC) по шифрованному IPsec-туннелю отправляют соответствие своего внутреннего (туннельного) адреса и внешнего (NBMA) адреса на NHRP-сервер (NHS). Когда клиент захочет соединиться с другим NHC, он посылает на сервер запрос, чтобы узнать его внешний адрес. Получив ответ от сервера, клиент теперь самостоятельно может устанавливать соединение c удалённым филиалом.

Алгоритм настройки

Пример настройки 1

Задача:

Организовать DMVPN между офисами компании, используя mGRE-туннели, NHRP (Next Hop Resolution Protocol), протокол динамической маршрутизации (BGP), Ipsec. В нашем примере у нас будет HUB маршрутизатор и два филиала. HUB – это DMVPN cервер (NHS), а филиалы – DMPVN клиенты (NHC).

Hub внешний IP-адрес — 150.115.0.5;

Spoke-1 внешний IP-адрес — 180.100.0.10;

Spoke-2 внешний IP-адрес — 140.114.0.4.

Параметры IPsec VPN:

IKE:

• группа Диффи-Хэллмана: 2;
• алгоритм шифрования: AES128;
• алгоритм аутентификации: SHA1.

IPsec:

• алгоритм шифрования: AES128;
• алгоритм аутентификации: SHA1.

Решение:

1. Конфигурирование Hub
   Создадим туннель GRE:

   esr# configure
   esr(config)# tunnel gre 5

   CODE

   Укажем IP-адрес интерфейса, граничащего с ISP:

   esr(config-gre)# local address 150.115.0.5

   CODE

   Зададим значение MTU:
   

   esr(config-gre)# mtu 1416

   CODE

   Установим значение ttl:
   

   esr(config-gre)# ttl 16

   CODE

   Зададим IP-адрес GRE-туннеля:

   esr(config-gre)# ip address 10.10.0.5/24

   CODE

   Переведём GRE-туннель в mutipoint режим для возможности соединения с несколькими точками:

   esr(config-gre)# multipoint

   CODE

   Перейдём к настройке NHRP. Настроим отправку мультикастовых рассылок в динамически узнаваемые адреса:

   esr(config-gre)# ip nhrp multicast dynamic

   CODE

   Произведём настройку протокола динамической маршрутизации для Hub. В нашем примере это будет BGP:

   esr(config)# router bgp 65005
   esr(config-bgp)# address-family ipv4
   esr(config-bgp-af)# neighbor 10.10.0.8
   esr(config-bgp-neighbor)# remote-as 65008
   esr(config-bgp-neighbor)# enable
   esr(config-bgp-neighbor)# exit
   esr(config-bgp-af)# neighbor 10.10.0.4
   esr(config-bgp-neighbor)# remote-as 65004
   esr(config-bgp-neighbor)# enable
   esr(config-bgp-neighbor)# exit
   esr(config-bgp-af)# enable

   CODE

   Произведём настройку IPsec для Hub:
   

   esr(config)# security ike proposal IKEPROP
   esr(config-ike-proposal)# encryption algorithm aes128
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# exit

   CODE

   esr(config)# security ike policy IKEPOLICY
   esr(config-ike-policy)# pre-shared-key ascii-text encrypted 8CB5107EA7005AFF
   esr(config-ike-policy)# proposal IKEPROP
   esr(config-ike-policy)# exit

   CODE

   esr(config)# security ike gateway IKEGW
   esr(config-ike-gw)# ike-policy IKEPOLICY
   esr(config-ike-gw)# local address 150.115.0.5
   esr(config-ike-gw)# local network 150.115.0.5/32 protocol gre
   esr(config-ike-gw)# remote address any
   esr(config-ike-gw)# remote network any
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# exit

   CODE

   esr(config)# security ipsec proposal IPSECPROP
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# exit

   CODE

   esr(config)# security ipsec policy IPSECPOLICY
   esr(config-ipsec-policy)# proposal IPSECPROP
   esr(config-ipsec-policy)# exit

   CODE

   esr(config)# security ipsec vpn IPSECVPN
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel route
   esr(config-ipsec-vpn)# ike gateway IKEGW
   esr(config-ipsec-vpn)# ike ipsec-policy IPSECPOLICY
   esr(config-ipsec-vpn)# enable

   CODE

   Привяжем IPsec к GRE-туннелю, чтобы клиенты могли устанавливать шифрованное соединение:

   esr(config-gre)# ip nhrp ipsec IPSECVPN dynamic

   CODE

   Включим работу NHRP и сам туннель:

   esr(config-gre)# ip nhrp enable
   esr(config-gre)# enable

   CODE
2. Конфигурирование Spoke
   

   Проведём стандартную настройку DMVPN на туннеле:

   esr# configure
   esr(config-gre)# tunnel gre 8
   esr(config-gre)# mtu 1416
   esr(config-gre)# ttl 16
   esr(config-gre)# multipoint
   esr(config-gre)# local address 180.100.0.10
   esr(config-gre)# ip address 10.10.0.8/24

   CODE

   Указываем сколько времени будет храниться запись о клиенте на сервере:

   esr(config-gre)# ip nhrp holding-time 300

   CODE

   Указываем туннельный адрес NHS:

   esr(config-gre)# ip nhrp nhs 10.10.0.5/24

   CODE

   Зададим соответствие туннельному адресу – реальный:

   esr(config-gre)# ip nhrp map 10.10.0.5 150.115.0.5

   CODE

   Настроим мультикастовую рассылку на NHRP сервер:

   esr(config)# ip nhrp multicast nhs

   CODE

   Произведём настройку BGP для spoke:

   esr(config)# router bgp 65008
   esr(config-bgp)# address-family ipv4
   esr(config-bgp-af)# neighbor 10.10.0.5
   esr(config-bgp-neighbor)# remote-as 65005
   esr(config-bgp-neighbor)# enable
   esr(config-bgp-neighbor)# exit
   esr(config-bgp-af)# enable

   CODE

   Произведём настройку IPsec. При создании шлюза протокола IKE для NHS, укажем конкретные адреса назначения. A при создании шлюза IKE для NHC – адрес назначения будет any:

   esr(config)# security ike proposal IKEPROP
   esr(config-ike-proposal)# encryption algorithm aes128
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# exit

   CODE

   esr(config)# security ike policy IKEPOLICY
   esr(config-ike-policy)# pre-shared-key ascii-text encrypted 8CB5107EA7005AFF
   esr(config-ike-policy)# proposal IKEPROP
   esr(config-ike-policy)# exit

   CODE

   esr(config)# security ike gateway IKEGW_HUB
   esr(config-ike-gw)# ike-policy IKEPOLICY
   esr(config-ike-gw)# local address 180.100.0.10
   esr(config-ike-gw)# local network 180.100.0.10/32 protocol gre
   esr(config-ike-gw)# remote address 150.115.0.5
   esr(config-ike-gw)# remote network 150.115.0.5/32 protocol gre
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# exit

   CODE

   esr(config)# security ike gateway IKEGW_SPOKE
   esr(config-ike-gw)# ike-policy IKEPOLICY
   esr(config-ike-gw)# local address 180.100.0.10
   esr(config-ike-gw)# local network 180.100.0.10/32 protocol gre
   esr(config-ike-gw)# remote address any
   esr(config-ike-gw)# remote network any
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# exit

   CODE

   esr(config)# security ipsec proposal IPSECPROP
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# exit

   CODE

   esr(config)# security ipsec policy IPSECPOLICY
   esr(config-ipsec-policy)# proposal IPSECPROP
   esr(config-ipsec-policy)# exit

   CODE

   esr(config)# security ipsec vpn IPSECVPN_HUB
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel route
   esr(config-ipsec-vpn)# ike gateway IKEGW_HUB
   esr(config-ipsec-vpn)# ike ipsec-policy IPSECPOLICY
   esr(config-ipsec-vpn)# enable

   CODE

   esr(config)# security ipsec vpn IPSECVPN_SPOKE
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel route
   esr(config-ipsec-vpn)# ike gateway IKEGW_SPOKE
   esr(config-ipsec-vpn)# ike ipsec-policy IPSECPOLICY
   esr(config-ipsec-vpn)# enable

   CODE

   Привяжем IPsec к GRE-туннелю, для возможности установления шифрованного соединения с сервером и с другими клиентами сети:

   esr(config-gre)# ip nhrp ipsec IPSECVPN_HUB static
   esr(config-gre)# ip nhrp ipsec IPSECVPN_SPOKE dynamic

   CODE

   Включим работу NHRP и сам туннель:

   esr(config-gre)# ip nhrp enable
   esr(config-gre)# enable

   CODE

   Состояние NHRP-записей можно посмотреть командой:

   esr# show ip nhrp

   CODE

   Очистить NHRP-записи можно командой:

   esr# clear ip nhrp

   CODE

Пример настройки 2

Задача:

Организовать DMVPN между офисами компании с соответствующими подсетями LAN1 и LAN2, используя mGRE-туннели, NHRP (Next Hop Resolution Protocol), протокол динамической маршрутизации (OSPF), IPsec. В нашем примере у нас будет HUB-маршрутизатор и два филиала. HUB – это DMVPN-cервер (NHS), а филиалы – DMPVN-клиенты (NHC).

При использовании схемы DMVPN необходимо, чтобы hub являлся DR-маршрутизатором. Таким образом, маршруты локальных подсетей spoke 1 и spoke 2 будут ретранслироваться через hub.

Hub внешний IP-адрес — 150.115.0.5;
Spoke-1 внешний IP-адрес — 180.100.0.10;
Spoke-2 внешний IP-адрес — 140.114.0.4.

Параметры IPsec VPN:

IKE:

• группа Диффи-Хэллмана: 2;
• алгоритм шифрования: AES128;
• алгоритм аутентификации: MD5.

IPsec:

• группа Диффи-Хэллмана: 2;
• алгоритм шифрования: AES128;
• алгоритм аутентификации: MD5.

Решение:

1. Конфигурирование Hub
   Предварительно настроим протокол OSPF.

   esr(config)# router ospf log-adjacency-changes
   esr(config)# router ospf 1
   esr(config-ospf)# router-id 77.77.77.77
   esr(config-ospf)# area 10.10.0.0
   esr(config-ospf-area)# enable
   esr(config-ospf-area)# exit
   esr(config-ospf)# enable
   esr(config-ospf)# exit

   CODE

   Настроим интерфейс и определим принадлежность к зоне безопасности.

   esr(config)# interface gigabitethernet 1/0/1
   esr(config-if-gi)# security-zone untrusted
   esr(config-if-gi)# ip address 150.115.0.5/30
   esr(config-if-gi)# exit

   CODE

   Настроим GRE-туннель, определим принадлежность к зоне безопасности, настроим OSPF на GRE-туннеле, настроим NHRP и включим туннель и NHRP командой enable. Чтобы hub стал DR, необходимо выставить максимальный приоритет.

   esr(config)# tunnel gre 1
   esr(config-gre)# ttl 16
   esr(config-gre)# mtu 1416
   esr(config-gre)# multipoint
   esr(config-gre)# security-zone untrusted 
   esr(config-gre)# local address 150.115.0.5
   esr(config-gre)# ip address 10.10.0.1/28
   esr(config-gre)# ip ospf instance 1
   esr(config-gre)# ip ospf area 10.10.0.0
   esr(config-gre)# ip ospf priority 255
   esr(config-gre)# ip ospf
   esr(config-gre)# ip nhrp multicast dynamic
   esr(config-gre)# ip nhrp enable
   esr(config-gre)# enable
   esr(config-gre)# exit

   CODE

   Создадим статические маршруты для подсетей интерфейсов spoke 180.100.0.8/30 и 140.114.0.4/30.

   esr(config)# ip route 180.100.0.8/30 150.115.0.6
   esr(config)# ip route 140.114.0.4/30 150.115.0.6

   CODE

   Произведём настройку IPsec для Hub.

   esr(config)# security ike proposal ike_prop1
   esr(config-ike-proposal)# authentication algorithm md5
   esr(config-ike-proposal)# encryption algorithm aes128
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# exit

   CODE

   esr(config)# security ike policy ike_pol1
   esr(config-ike-policy)# pre-shared-key ascii-text password
   esr(config-ike-policy)# proposal ike_prop1
   esr(config-ike-policy)# exit

   CODE

   esr(config)# security ike gateway ike_spoke
   esr(config-ike-gw)# ike-policy ike_pol1
   esr(config-ike-gw)# local address 150.115.0.5
   esr(config-ike-gw)# local network 150.115.0.5/32 protocol gre 
   esr(config-ike-gw)# remote address any
   esr(config-ike-gw)# remote network any
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# exit

   CODE

   esr(config)# security ipsec proposal ipsec_prop1
   esr(config-ipsec-proposal)# authentication algorithm md5
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# pfs dh-group 2
   esr(config-ipsec-proposal)# exit

   CODE

   esr(config)# security ipsec policy ipsec_pol1
   esr(config-ipsec-policy)# proposal ipsec_prop1
   esr(config-ipsec-policy)# exit

   CODE

   esr(config)# security ipsec vpn ipsec_spoke
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel route
   esr(config-ipsec-vpn)# ike gateway ike_spoke
   esr(config-ipsec-vpn)# ike ipsec-policy ipsec_pol1
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit

   CODE

   Привяжем IPsec к GRE-туннелю, чтобы клиенты могли устанавливать шифрованное соединение.

   esr(config)# tunnel gre 1
   esr(config-gre)# ip nhrp ipsec ipsec_spoke dynamic
   esr(config-gre)# exit

   CODE

2. Конфигурирование spoke1
   Предварительно настроим протокол OSPF с анонсированием подсети LAN1.

   esr(config)# router ospf log-adjacency-changes
   esr(config)# router ospf 1
   esr(config-ospf)# router-id 1.1.1.1
   esr(config-ospf)# area 10.10.0.0
   esr(config-ospf-area)# network 192.168.1.0/24
   esr(config-ospf-area)# enable
   esr(config-ospf-area)# exit
   esr(config-ospf)# enable
   esr(config-ospf)# exit

   CODE

   Настроим интерфейс и определим принадлежность к зоне безопасности.

   esr(config)# interface gigabitethernet 1/0/1
   esr(config-if-gi)# security-zone untrusted
   esr(config-if-gi)# ip address 180.100.0.10/30
   esr(config-if-gi)# exit

   CODE

   Настроим GRE-туннель, определим принадлежность к зоне безопасности, настроим OSPF на GRE-туннеле, настроим NHRP и включим туннель и NHRP командой enable. Чтобы hub стал DR, необходимо выставить минимальный приоритет на spoke.

   esr(config)# tunnel gre 1
   esr(config-gre)# ttl 16
   esr(config-gre)# mtu 1416
   esr(config-gre)# multipoint
   esr(config-gre)# ip firewall disable
   esr(config-gre)# local address 180.100.0.10
   esr(config-gre)# ip address 10.10.0.2/28
   esr(config-gre)# ip ospf instance 1
   esr(config-gre)# ip ospf area 10.10.0.0
   esr(config-gre)# ip ospf priority 0
   esr(config-gre)# ip ospf
   esr(config-gre)# ip nhrp holding-time 300
   esr(config-gre)# ip nhrp map 10.10.0.1 150.115.0.5
   esr(config-gre)# ip nhrp nhs 10.10.0.1/28
   esr(config-gre)# ip nhrp multicast nhs
   esr(config-gre)# ip nhrp enable
   esr(config-gre)# enable
   esr(config-gre)# exit

   CODE

   Создадим статические маршруты для подсетей интерфейсов spoke 180.100.0.8/30 и 140.114.0.4/30.

   esr(config)# ip route 150.115.0.4/30 180.100.0.9
   esr(config)# ip route 140.114.0.4/30 180.100.0.9

   CODE

   Произведём настройку IPsec для Hub.

   esr(config)# security ike proposal ike_prop1
   esr(config-ike-proposal)# authentication algorithm md5
   esr(config-ike-proposal)# encryption algorithm aes128
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# exit

   CODE

   esr(config)# security ike policy ike_pol1
   esr(config-ike-policy)# pre-shared-key ascii-text password
   esr(config-ike-policy)# proposal ike_prop1
   esr(config-ike-policy)# exit

   CODE

   esr(config)# security ike gateway ike_spoke
   esr(config-ike-gw)# ike-policy ike_pol1
   esr(config-ike-gw)# local address 180.100.0.10
   esr(config-ike-gw)# local network 180.100.0.10/32 protocol gre 
   esr(config-ike-gw)# remote address any
   esr(config-ike-gw)# remote network any
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# exit
   esr(config)# security ike gateway ike_hub
   esr(config-ike-gw)# ike-policy ike_pol1
   esr(config-ike-gw)# local address 180.100.0.10
   esr(config-ike-gw)# local network 180.100.0.10/32 protocol gre 
   esr(config-ike-gw)# remote address 150.115.0.5
   esr(config-ike-gw)# remote network 150.115.0.5/32 protocol gre 
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# exit

   CODE

   esr(config)# security ipsec proposal ipsec_prop1
   esr(config-ipsec-proposal)# authentication algorithm md5
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# pfs dh-group 2
   esr(config-ipsec-proposal)# exit

   CODE

   esr(config)# security ipsec policy ipsec_pol1
   esr(config-ipsec-policy)# proposal ipsec_prop1
   esr(config-ipsec-policy)# exit

   CODE

   esr(config)# security ipsec vpn ipsec_spoke
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel route
   esr(config-ipsec-vpn)# ike gateway ike_spoke
   esr(config-ipsec-vpn)# ike ipsec-policy ipsec_pol1
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit
   esr(config)# security ipsec vpn ipsec_hub
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel route
   esr(config-ipsec-vpn)# ike gateway ike_hub
   esr(config-ipsec-vpn)# ike ipsec-policy ipsec_pol1
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit

   CODE

   Привяжем IPsec к GRE-туннелю, для возможности установления шифрованного соединения с сервером и с другими клиентами сети.

   esr(config)# tunnel gre 1
   esr(config-gre)# ip nhrp ipsec ipsec_hub static
   esr(config-gre)# ip nhrp ipsec ipsec_spoke dynamic
   esr(config-gre)# exit

   CODE

3. Состояние NHRP-записей можно посмотреть командой.

   esr# show ip nhrp

   CODE

4. Дополнительно в security zone-pair untrusted self необходимо разрешить протоколы для GRE over IPSec-туннеля.

   esr(config)# security zone-pair untrusted self
   esr(config-zone-pair)# rule 10 
   esr(config-zone-pair-rule)# action permit 
   esr(config-zone-pair-rule)# match protocol gre 
   esr(config-zone-pair-rule)# enable
   esr(config-zone-pair-rule)# exit
   esr(config-zone-pair)# rule 11 
   esr(config-zone-pair-rule)# action permit
   esr(config-zone-pair-rule)# match protocol esp
   esr(config-zone-pair-rule)# enable
   esr(config-zone-pair-rule)# exit
   esr(config-zone-pair)# rule 12 
   esr(config-zone-pair-rule)# action permit
   esr(config-zone-pair-rule)# match protocol ah
   esr(config-zone-pair-rule)# enable 
   esr(config-zone-pair-rule)# exit 
   esr(config-zone-pair)# exit

   CODE

Настройка L2TPv3-туннелей

L2TPv3 (Layer 2 Tunneling Protocol Version 3) — протокол для туннелирования пакетов 2-го уровня модели OSI между двумя IP-узлами. В качестве инкапсулирующего протокола используется IP или UDP. L2TPv3 может использоваться как альтернатива MPLS P2P L2VPN (VLL) для организации VPN уровня L2. В маршрутизаторе ESR реализованы статические неуправляемые L2TPv3-туннели, то есть туннели создаются вручную путем конфигурирования на локальном и удаленном узлах. Параметры туннеля на каждой из сторон должны быть взаимосогласованными или переносимые данные не будут декапсулироваться партнером.

Алгоритм настройки

Пример настройки L2TPv3-туннеля

Задача:

Организовать L2 VPN между офисами компании через IP-сеть, используя для туннелирования трафика протокол L2TPv3.

• в качестве инкапсулирующего протокола используется UDP, номер порта на локальной стороне и номер порта на стороне партнера 519;
• в качестве локального шлюза для туннеля используется IP-адрес 21.0.0.1;
• в качестве удаленного шлюза для туннеля используется IP-адрес 183.0.0.10;
• идентификатор туннеля на локальной стороне равен 2, на стороне партнера 3;
• идентификатор сессии внутри туннеля равен 100, на стороне партнера 200;
• в туннель направим трафик из bridge с идентификатором 333.

Решение:

Создадим туннель L2TPv3 333:

esr# configure
esr(config)# tunnel l2tpv3 333

Укажем локальный и удаленный шлюз (IP-адреса интерфейсов, граничащих с WAN):

esr(config-l2tpv3)# local address 21.0.0.1
esr(config-l2tpv3)# remote address 183.0.0.10

Укажем тип инкапсулирующего протокола и номера UDP-портов:

esr(config-l2tpv3)# protocol udp
esr(config-l2tpv3)# local port 519
esr(config-l2tpv3)# remote port 519

Укажем идентификаторы сессии внутри туннеля для локальной и удаленной сторон:

esr(config-l2tpv3)# local session-id 100
esr(config-l2tpv3)# remote session-id 200

Установим принадлежность L2TPv3-туннеля к мосту, который должен быть связан с сетью удаленного офиса (настройка моста рассматривается в пункте Пример настройки bridge для VLAN и L2TPv3-туннеля):

esr(config-l2tpv3)# bridge-group 333

Включим ранее созданный туннель и выйдем:

esr(config-l2tpv3)# enable
esr(config-l2tpv3)# exit

Создадим саб-интерфейс для коммутации трафика, поступающего из туннеля, в локальную сеть с тегом VLAN id 333:

esr(config)# interface gi 1/0/2.333

Установим принадлежность саб-интерфейса к мосту, который должен быть связан с локальной сетью (настройка моста рассматривается в пункте Настройка PPP через E1):

esr(config-subif)# bridge-group 333
esr(config-subif)# exit

После применения настроек трафик будет инкапсулироваться в туннель и отправляться партнеру, независимо от наличия L2TPv3 туннеля и правильности настроек с его стороны.

Настройки туннеля в удаленном офисе должны быть зеркальными локальным. В качестве локального шлюза должен использоваться IP-адрес 183.0.0.10. В качестве удаленного шлюза должен использоваться IP-адрес 21.0.0.1. Номер порта инкапсулирующего протокола на локальной стороне и стороне партнера 519. Идентификатор сессии внутри туннеля должен быть равным 200, на стороне партнера 100. Также туннель должен принадлежать мосту, который необходимо соединить с сетью партнера.

Состояние туннеля можно посмотреть командой:

esr# show tunnels status l2tpv3 333

Счетчики входящих и отправленных пакетов можно посмотреть командой:

esr# show tunnels counters l2tpv3 333

Конфигурацию туннеля можно посмотреть командой:

esr# show tunnels configuration l2tpv3 333

Помимо создания туннеля необходимо в firewall разрешить входящий трафик по протоколу UDP с портом отправителя 519 и портом назначения 519.

Настройка IPsec VPN

IPsec — это набор протоколов, которые обеспечивают защиту передаваемых с помощью IP-протокола данных. Данный набор протоколов позволяет осуществлять подтверждение подлинности (аутентификацию), проверку целостности и шифрование IP-пакетов, а также включает в себя протоколы для защищённого обмена ключами в сети Интернет.

Алгоритм настройки Route-based IPsec VPN

Пример настройки Route-based IPsec VPN

Задача:

Настроить IPsec-туннель между R1 и R2.

• R1 IP-адрес – 120.11.5.1;
• R2 IP-адрес – 180.100.0.1;

IKE:

• группа Диффи-Хэллмана: 2;
• алгоритм шифрования: AES 128 bit;
• алгоритм аутентификации: MD5.

IP sec:

• алгоритм шифрования: AES 128 bit;
• алгоритм аутентификации: MD5.

Решение:

1. Конфигурирование R1
   Настроим внешний сетевой интерфейс и определим принадлежность к зоне безопасности:

   esr# configure
   esr(config)# interface gi 1/0/1
   esr(config-if-gi)# ip address 180.100.0.1/24
   esr(config-if-gi)# security-zone untrusted
   esr(config-if-gi)# exit

   CODE

   Создадим туннель VTI. Трафик будет перенаправляться через VTI в IPsec-туннель. В качестве локального и удаленного шлюза указываются IP-адреса интерфейсов, граничащих с WAN:

   esr(config)# tunnel vti 1
   esr(config-vti)# local address 180.100.0.1
   esr(config-vti)# remote address 120.11.5.1
   esr(config-vti)# enable
   esr(config-vti)# exit

   CODE

   Для настройки правил зон безопасности потребуется создать профиль порта протокола ISAKMP:

   esr(config)# object-group service ISAKMP
   esr(config-object-group-service)# port-range 500
   esr(config-object-group-service)# exit

   CODE

   Создадим статический маршрут до удаленной LAN-сети. Для каждой подсети, которая находится за IPsec-туннелем, нужно указать маршрут через VTI-туннель:

   esr(config)# ip route 192.0.2.0/24 tunnel vti 1

   CODE

   Создадим профиль протокола IKE. В профиле укажем группу Диффи-Хэллмана 2, алгоритм шифрования AES 128 bit, алгоритм аутентификации MD5. Данные параметры безопасности используются для защиты IKE-соединения:

   esr(config)# security ike proposal ike_prop1
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# authentication algorithm md5
   esr(config-ike-proposal)# encryption algorithm aes128
   esr(config-ike-proposal)# exit

   CODE

   Создадим политику протокола IKE. В политике указывается список профилей протокола IKE, по которым могут согласовываться узлы и ключ аутентификации:

   esr(config)# security ike policy ike_pol1
   esr(config-ike-policy)# pre-shared-key hexadecimal 123FFF
   esr(config-ike-policy)# proposal ike_prop1
   esr(config-ike-policy)# exit

   CODE

   Создадим шлюз протокола IKE. В данном профиле указывается VTI-туннель, политика, версия протокола и режим перенаправления трафика в туннель:

   esr(config)# security ike gateway ike_gw1
   esr(config-ike-gw)# ike-policy ike_pol1
   esr(config-ike-gw)# mode route-based
   esr(config-ike-gw)# bind-interface vti 1
   esr(config-ike-gw)# version v2-only
   esr(config-ike-gw)# exit

   CODE

   Создадим профиль параметров безопасности для IPsec-туннеля. В профиле укажем алгоритм шифрования AES 128 bit, алгоритм аутентификации MD5. Данные параметры безопасности используются для защиты IPsec-туннеля:

   esr(config)# security ipsec proposal ipsec_prop1
   esr(config-ipsec-proposal)# authentication algorithm md5
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# exit

   CODE

   Создадим политику для IPsec-туннеля. В политике указывается список профилей IPsec-туннеля, по которым могут согласовываться узлы.

   esr(config)# security ipsec policy ipsec_pol1
   esr(config-ipsec-policy)# proposal ipsec_prop1
   esr(config-ipsec-policy)# exit

   CODE

   Создадим IPsec VPN. В VPN указывается шлюз IKE-протокола, политика IP sec-туннеля, режим обмена ключами и способ установления соединения. После ввода всех параметров включим туннель командой enable.

   esr(config)# security ipsec vpn ipsec1
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel route
   esr(config-ipsec-vpn)# ike gateway ike_gw1
   esr(config-ipsec-vpn)# ike ipsec-policy ipsec_pol1
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit
   esr(config)# exit

   CODE
2. Конфигурирование R2
   

   Настроим внешний сетевой интерфейс и определим принадлежность к зоне безопасности:

   esr# configure
   esr(config)# interface gi 1/0/1
   esr(config-if)# ip address 120.11.5.1/24
   esr(config-if)# security-zone untrusted
   esr(config-if)# exit

   CODE

   Создадим туннель VTI. Трафик будет перенаправляться через VTI в IPsec-туннель. В качестве локального и удаленного шлюза указываются IP-адреса интерфейсов, граничащих с WAN:

   esr(config)# tunnel vti 1
   esr(config-vti)# remote address 180.100.0.1
   esr(config-vti)# local address 120.11.5.1
   esr(config-vti)# enable
   esr(config-vti)# exit

   CODE

   Для настройки правил зон безопасности потребуется создать профиль порта протокола ISAKMP:

   esr(config)# object-group service ISAKMP
   esr(config-object-group-service)# port-range 500
   esr(config-object-group-service)# exit

   CODE

   Создадим статический маршрут до удаленной LAN-сети. Для каждой подсети, которая находится за IPsec-туннелем, нужно указать маршрут через VTI-туннель:

   esr(config)# ip route 10.0.0.0/16 tunnel vti 1

   CODE

   Создадим профиль протокола IKE. В профиле укажем группу Диффи-Хэллмана 2, алгоритм шифрования AES 128 bit, алгоритм аутентификации MD5. Данные параметры безопасности используются для защиты IKE-соединения:

   esr(config)# security ike proposal ike_prop1
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# authentication algorithm md5
   esr(config-ike-proposal)# encryption algorithm aes128
   esr(config-ike-proposal)# exit
   esr(config)#

   CODE

   Создадим политику протокола IKE. В политике указывается список профилей протокола IKE, по которым могут согласовываться узлы и ключ аутентификации:

   esr(config)# security ike policy ike_pol1
   esr(config-ike-policy)# pre-shared-key hexadecimal 123FFF
   esr(config-ike-policy)# proposal ike_prop1
   esr(config-ike-policy)# exit

   CODE

   Создадим шлюз протокола IKE. В данном профиле указывается VTI-туннель, политика, версия протокола и режим перенаправления трафика в туннель:

   esr(config)# security ike gateway ike_gw1
   esr(config-ike-gw)# ike-policy ike_pol1
   esr(config-ike-gw)# mode route-based
   esr(config-ike-gw)# bind-interface vti 1
   esr(config-ike-gw)# version v2-only
   esr(config-ike-gw)# exit

   CODE

   Создадим профиль параметров безопасности для IPsec-туннеля. В профиле укажем алгоритм шифрования AES 128 bit, алгоритм аутентификации MD5. Данные параметры безопасности используются для защиты IPsec-туннеля:

   esr(config)# security ipsec proposal ipsec_prop1
   esr(config-ipsec-proposal)# authentication algorithm md5
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# exit

   CODE

   Создадим политику для IPsec-туннеля. В политике указывается список профилей IPsec-туннеля, по которым могут согласовываться узлы.

   esr(config)# security ipsec policy ipsec_pol1
   esr(config-ipsec-policy)# proposal ipsec_prop1
   esr(config-ipsec-policy)# exit

   CODE

   Создадим IPsec VPN. В VPN указывается шлюз IKE-протокола, политика IP sec-туннеля, режим обмена ключами и способ установления соединения. После ввода всех параметров включим туннель командой enable.

   esr(config)# security ipsec vpn ipsec1
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel route
   esr(config-ipsec-vpn)# ike gateway ike_gw1
   esr(config-ipsec-vpn)# ike ipsec-policy ipsec_pol1
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit
   esr(config)# exit

   CODE

   Состояние туннеля можно посмотреть командой:

   esr# show security ipsec vpn status ipsec1

   CODE

   Конфигурацию туннеля можно посмотреть командой:

   esr# show security ipsec vpn configuration ipsec1

   CODE

В firewall необходимо разрешить протокол ESP и ISAKMP (UDP-порт 500).

Алгоритм настройки Policy-based IPsec VPN

Пример настройки Policy-based IPsec VPN

Задача:

Настроить IPsec-туннель между R1 и R2.

R1 IP-адрес – 198.51.100.1;

R2 IP-адрес – 203.0.113.1;

IKE:

• группа Диффи-Хэллмана: 2;
• алгоритм шифрования: AES 128 bit;
• алгоритм аутентификации: MD5.

IPsec:

• алгоритм шифрования: AES 128 bit;
• алгоритм аутентификации: MD5.

Решение:

1. Конфигурирование R1
   

   Настроим внешний сетевой интерфейс и определим принадлежность к зоне безопасности:

   esr# configure
   esr(config)# interface gigabitethernet 1/0/1
   esr(config-if-gi)# ip address 198.51.100.1/24
   esr(config-if-gi)# security-zone untrusted
   esr(config-if-gi)# exit

   CODE

   Для настройки правил зон безопасности потребуется создать профиль порта протокола ISAKMP:

   esr(config)# object-group service ISAKMP
   esr(config-object-group-service)# port-range 500
   esr(config-object-group-service)# exit

   CODE

   Создадим профиль протокола IKE. В профиле укажем группу Диффи-Хэллмана 2, алгоритм шифрования AES 128 bit, алгоритм аутентификации MD5. Данные параметры безопасности используются для защиты IKE-соединения:

   esr(config)# security ike proposal ike_prop1
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# authentication algorithm md5
   esr(config-ike-proposal)# encryption algorithm aes128
   esr(config-ike-proposal)# exit

   CODE

   Создадим политику протокола IKE. В политике указывается список профилей протокола IKE, по которым могут согласовываться узлы и ключ аутентификации:

   esr(config)# security ike policy ike_pol1
   esr(config-ike-policy)# pre-shared-key hexadecimal 123FFF
   esr(config-ike-policy)# proposal ike_prop1
   esr(config-ike-policy)# exit

   CODE

   Создадим шлюз протокола IKE. В данном профиле указывается VTI-туннель, политика, версия протокола и режим перенаправления трафика в туннель:

   esr(config)# security ike gateway ike_gw1
   esr(config-ike-gw)# ike-policy ike_pol1
   esr(config-ike-gw)# local address 198.51.100.1
   esr(config-ike-gw)# local network 10.0.0.0/16
   esr(config-ike-gw)# remote address 203.0.113.1
   esr(config-ike-gw)# remote network 192.0.2.0/24
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# exit

   CODE

   Создадим профиль параметров безопасности для IPsec-туннеля. В профиле укажем алгоритм шифрования AES 128 bit, алгоритм аутентификации MD5. Данные параметры безопасности используются для защиты IPsec-туннеля:

   esr(config)# security ipsec proposal ipsec_prop1
   esr(config-ipsec-proposal)# authentication algorithm md5
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# exit

   CODE

   Создадим политику для IPsec-туннеля. В политике указывается список профилей IPsec-туннеля, по которым могут согласовываться узлы.

   esr(config)# security ipsec policy ipsec_pol1
   esr(config-ipsec-policy)# proposal ipsec_prop1
   esr(config-ipsec-policy)# exit

   CODE

   Создадим IPsec VPN. В VPN указывается шлюз IKE-протокола, политика IP sec-туннеля, режим обмена ключами и способ установления соединения. После ввода всех параметров включим туннель командой enable.

   esr(config)# security ipsec vpn ipsec1
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel immediate
   esr(config-ipsec-vpn)# ike gateway ike_gw1
   esr(config-ipsec-vpn)# ike ipsec-policy ipsec_pol1
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit
   esr(config)# exit

   CODE
2. Конфигурирование R2

3. Настроим внешний сетевой интерфейс и определим принадлежность к зоне безопасности:

   esr# configure
   esr(config)# interface gi 1/0/1
   esr(config-if)# ip address 203.0.113.1/24
   esr(config-if)# security-zone untrusted
   esr(config-if)# exit

   CODE

   Для настройки правил зон безопасности потребуется создать профиль порта протокола ISAKMP:

   esr(config)# object-group service ISAKMP
   esr(config-addr-set)# port-range 500
   esr(config-addr-set)# exit

   CODE

   Создадим профиль протокола IKE. В профиле укажем группу Диффи-Хэллмана 2, алгоритм шифрования AES 128 bit, алгоритм аутентификации MD5. Данные параметры безопасности используются для защиты IKE-соединения:

   esr(config)# security ike proposal ike_prop1
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# authentication algorithm md5
   esr(config-ike-proposal)# encryption algorithm aes128
   esr(config-ike-proposal)# exit
   esr(config)#

   CODE

   Создадим политику протокола IKE. В политике указывается список профилей протокола IKE, по которым могут согласовываться узлы и ключ аутентификации:

   esr(config)# security ike policy ike_pol1
   esr(config-ike-policy)# pre-shared-key hexadecimal 123FFF
   esr(config-ike-policy)# proposal ike_prop1
   esr(config-ike-policy)# exit

   CODE

   Создадим шлюз протокола IKE. В данном профиле указывается VTI-туннель, политика, версия протокола и режим перенаправления трафика в туннель:

   esr(config)# security ike gateway ike_gw1
   esr(config-ike-gw)# ike-policy ike_pol1
   esr(config-ike-gw)# remote address 198.51.100.1
   esr(config-ike-gw)# remote network 10.0.0.0/16
   esr(config-ike-gw)# local address 203.0.113.1
   esr(config-ike-gw)# local network 192.0.2.0/24
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# exit

   CODE

   Создадим профиль параметров безопасности для IPsec-туннеля. В профиле укажем алгоритм шифрования AES 128 bit, алгоритм аутентификации MD5. Данные параметры безопасности используются для защиты IPsec-туннеля:

   esr(config)# security ipsec proposal ipsec_prop1
   esr(config-ipsec-proposal)# authentication algorithm md5
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# exit

   CODE

   Создадим политику для IPsec-туннеля. В политике указывается список профилей IPsec-туннеля, по которым могут согласовываться узлы.

   esr(config)# security ipsec policy ipsec_pol1
   esr(config-ipsec-policy)# proposal ipsec_prop1
   esr(config-ipsec-policy)# exit

   CODE

   Создадим IPsec VPN. В VPN указывается шлюз IKE-протокола, политика IP sec-туннеля, режим обмена ключами и способ установления соединения. После ввода всех параметров включим туннель командой enable.

   esr(config)# security ipsec vpn ipsec1
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel immediate
   esr(config-ipsec-vpn)# ike gateway ike_gw1
   esr(config-ipsec-vpn)# ike ipsec-policy ipsec_pol1
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit
   esr(config)# exit

   CODE

   Состояние туннеля можно посмотреть командой:

   esr# show security ipsec vpn status ipsec1

   CODE

   Конфигурацию туннеля можно посмотреть командой:

   esr# show security ipsec vpn configuration ipsec1

   CODE

В firewall необходимо разрешить протокол ESP и ISAKMP (UDP-порт 500).

Алгоритм настройки Remote Access IPsec VPN

Remote Access IPsec VPN – сценарий организации временных VPN-подключений, в котором сервер IPsec VPN находится в режиме ожидания входящих подключений, а клиенты осуществляют временные подключения к серверу для получения доступа к сетевым ресурсам.

Дополнительной особенностью RA IPsec VPN является возможность использования второго фактора аутентификации IPsec – Extended Authentication (XAUTH), вторым фактором аутентификации является пара логин-пароль для клиента IPsec VPN.

Пример настройки Remote Access IPsec VPN

Задача:

Настроить Remote Access IPsec VPN между R1 и R2 с использованием второго фактора аутентификации IPsec - XAUTH. В качестве сервера IPsec VPN настроить маршрутизатор R1, а маршрутизатор R2 в качестве клиента IPsec VPN.

R2 IP-адрес – 120.11.5.1;

R1 IP-адрес – 180.100.0.1;

Клиентам IPsec VPN:

• выдавать адреса из пула подсети 192.0.2.0/24
• предоставлять доступ до LAN подсети 10.0.0.0/16

IKE:

• группа Диффи-Хэллмана: 2;
• алгоритм шифрования: 3DES;
• алгоритм аутентификации: SHA1.

IPsec:

• алгоритм шифрования: 3DES;
• алгоритм аутентификации: SHA1.

XAUTH:

• логин: client1;
• пароль: password123.

Решение:

1. Конфигурирование R1
   Настроим внешний сетевой интерфейс и определим принадлежность к зоне безопасности:

   esr# configure
   esr(config)# security zone untrusted
   esr(config-zone)# exit
   esr(config)# interface gigabitethernet 1/0/1
   esr(config-if-gi)# security-zone untrusted
   esr(config-if-gi)# ip address 180.100.0.1/24
   esr(config-if-gi)# exit

   CODE

   Для настройки правил зон безопасности потребуется создать профиль порта протокола ISAKMP:

   esr(config)# object-group service ISAKMP
   esr(config-object-group-service)# port-range 500,4500
   esr(config-object-group-service)# exit

   CODE

   Создадим профиль протокола IKE. В профиле укажем группу Диффи-Хэллмана 2, алгоритм шифрования 3 DES, алгоритм аутентификации SHA1. Данные параметры безопасности используются для защиты IKE-соединения:

   esr(config)# security ike proposal IKEPROP
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# authentication algorithm sha1
   esr(config-ike-proposal)# encryption algorithm 3des
   esr(config-ike-proposal)# exit

   CODE

   Создадим политику протокола IKE. В политике указывается список профилей протокола IKE, по которым могут согласовываться узлы, ключ аутентификации и метод аутентификации XAUTH по ключу:

   esr(config)# security ike policy IKEPOLICY
   esr(config-ike-policy)# pre-shared-key hexadecimal 123FFF
   esr(config-ike-policy)# authentication method xauth-psk-key
   esr(config-ike-policy)# proposal IKEPROP
   esr(config-ike-policy)# exit

   CODE

   Создадим профиль доступа и заведем в нем пару логин и пароль для клиента IPsec VPN:

   esr(config)# access profile XAUTH
   esr(config-access-profile)# user client1
   esr(config-profile)# password ascii-text password123
   esr(config-profile)# exit
   esr(config-access-profile)# exit

   CODE

   Создадим пул адресов назначения, из которого будут выдаваться IP клиентам IPsec VPN:

   esr-1000(config)# address-assignment pool CLIENT_POOL
   esr-1000(config-pool)# ip prefix 192.0.2.0/24
   esr-1000(config-pool)# exit

   CODE

   Создадим шлюз протокола IKE. В данном профиле необходимо указать политику протокола IKE, указать локальную подсеть, в качестве удаленной подсети указать пул адресов назначения, задать режим перенаправления трафика в туннель по политике и использование второго фактора аутентификации XAUTH:

   esr(config)# security ike gateway IKEGW
   esr(config-ike-gw)# ike-policy IKEPOLICY
   esr(config-ike-gw)# local address 180.100.0.1
   esr(config-ike-gw)# local network 10.0.0.0/16
   esr(config-ike-gw)# remote address any
   esr(config-ike-gw)# remote network dynamic pool CLIENT_POOL
   esr(config-ike-gw)# dead-peer-detection action clear
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# xauth access-profile XAUTH
   esr(config-ike-gw)# exit

   CODE

   Создадим профиль параметров безопасности для IPsec-туннеля. В профиле укажем алгоритм шифрования 3DES, алгоритм аутентификации SHA1. Данные параметры безопасности используются для защиты IPsec-туннеля:

   esr(config)# security ipsec proposal IPSECPROP
   esr(config-ipsec-proposal)# authentication algorithm sha1
   esr(config-ipsec-proposal)# encryption algorithm 3des
   esr(config-ipsec-proposal)# exit

   CODE

   Создадим политику для IPsec-туннеля. В политике указывается список профилей IPsec-туннеля, по которым могут согласовываться узлы.

   esr(config)# security ipsec policy IPSECPOLICY
   esr(config-ipsec-policy)# proposal IPSECPROP
   esr(config-ipsec-policy)# exit

   CODE

   Создадим IPsec VPN. В VPN указывается шлюз IKE-протокола, политика IP sec-туннеля, режим обмена ключами и режим ожидания входящего соединения IPsec – by-request. После ввода всех параметров включим туннель командой enable.

   esr(config)# security ipsec IPSECVPN
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel by-request
   esr(config-ipsec-vpn)# ike gateway IKEGW
   esr(config-ipsec-vpn)# ike ipsec-policy IPSECPOLICY
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit

   CODE

   Разрешим протокол esp и udp порты 500, 4500 в конфигурации firewall для установления IPsec VPN:

   esr(config)# security zone-pair untrusted self
   esr(config-zone-pair)# rule 1
   esr(config-zone-pair-rule)# action permit
   esr(config-zone-pair-rule)# match protocol udp
   esr(config-zone-pair-rule)# match destination-port ISAKMP
   esr(config-zone-pair-rule)# enable
   esr(config-zone-pair-rule)# exit
   esr(config-zone-pair)#   rule 2
   esr(config-zone-pair-rule)# action permit
   esr(config-zone-pair-rule)# match protocol esp
   esr(config-zone-pair-rule)# enable
   esr(config-zone-pair-rule)# exit
   esr(config-zone-pair)# end

   CODE

2. Конфигурирование R2
   Настроим внешний сетевой интерфейс и определим принадлежность к зоне безопасности:

   esr# configure
   esr(config)# interface gi 1/0/1
   esr(config-if)# ip address 120.11.5.1/24
   esr(config-if)# security-zone untrusted
   esr(config-if)# exit

   CODE

   Для настройки правил зон безопасности потребуется создать профиль порта протокола ISAKMP:

   esr(config)# object-group service ISAKMP
   esr(config-addr-set)# port-range 500,4500
   esr(config-addr-set)# exit

   CODE

   Создадим профиль протокола IKE. В профиле укажем группу Диффи-Хэллмана 2, алгоритм шифрования 3 DES, алгоритм аутентификации SHA1. Данные параметры безопасности используются для защиты IKE-соединения:

   esr(config)# security ike proposal IKEPROP
   esr(config-ike-proposal)# dh-group 2
   esr(config-ike-proposal)# authentication algorithm sha1
   esr(config-ike-proposal)# encryption algorithm 3des
   esr(config-ike-proposal)# exit

   CODE

   Создадим политику протокола IKE. В политике указывается список профилей протокола IKE, по которым могут согласовываться узлы, ключ аутентификации, метод аутентификации XAUTH по ключу и режим аутентификации – клиент:

   esr(config)# security ike policy IKEPOLICY
   esr(config-ike-policy)# pre-shared-key hexadecimal 123FFF
   esr(config-ike-policy)# authentication method xauth-psk-key
   esr(config-ike-policy)# authentication mode client
   esr(config-ike-policy)# proposal IKEPROP
   esr(config-ike-policy)# exit

   CODE

   Создадим профиль доступа и заведем в нем пару логин и пароль:

   esr(config)# access profile XAUTH
   esr(config-access-profile)# user client1
   esr(config-profile)# password ascii-text password123
   esr(config-profile)# exit
   esr(config-access-profile)# exit

   CODE

   Создадим интерфейс loopback для терминации IP адреса, полученного от IPsec VPN сервера:

   esr(config)# interface loopback 8
   esr(config-loopback)# exit

   CODE

   Создадим шлюз протокола IKE. В данном профиле указывается политика, интерфейс терминации, режим динамического установления удаленной подсети, выбор профиля доступа для XAUTH и режим перенаправления трафика в туннель по политике:

   esr(config)# security ike gateway IKEGW
   esr(config-ike-gw)# ike-policy IKEPOLICY
   esr(config-ike-gw)# assign-interface loopback 8
   esr(config-ike-gw)# local address 120.11.5.1
   esr(config-ike-gw)# remote address 180.100.0.1
   esr(config-ike-gw)# remote network dynamic client
   esr(config-ike-gw)# mode policy-based
   esr(config-ike-gw)# xauth access-profile xauth client client1
   esr(config-ike-gw)# exit

   CODE

   Создадим профиль параметров безопасности для IPsec-туннеля. В профиле укажем алгоритм шифрования 3DES, алгоритм аутентификации SHA1. Данные параметры безопасности используются для защиты IPsec-туннеля:

   esr(config)# security ipsec proposal IPSECPROP
   esr(config-ipsec-proposal)# authentication algorithm md5
   esr(config-ipsec-proposal)# encryption algorithm aes128
   esr(config-ipsec-proposal)# exit

   CODE

   Создадим политику для IPsec-туннеля. В политике указывается список профилей IPsec-туннеля, по которым могут согласовываться узлы.

   esr(config)# security ipsec policy IPSECPOLICY
   esr(config-ipsec-policy)# proposal IPSECPROP
   esr(config-ipsec-policy)# exit

   CODE

   Создадим IPsec VPN. В VPN указывается шлюз IKE-протокола, политика IP sec-туннеля, режим обмена ключами и способ установления соединения. После ввода всех параметров включим туннель командой enable.

   esr(config)# security ipsec vpn IPSECVPN
   esr(config-ipsec-vpn)# mode ike
   esr(config-ipsec-vpn)# ike establish-tunnel immediate
   esr(config-ipsec-vpn)# ike gateway IKEGW
   esr(config-ipsec-vpn)# ike ipsec-policy IPSECPOLICY
   esr(config-ipsec-vpn)# enable
   esr(config-ipsec-vpn)# exit

   CODE

   Разрешим протокол esp и udp порты 500,4500 в конфигурации firewall для установления IPsec VPN:

   esr(config)# security zone-pair untrusted self
   esr(config-zone-pair)# rule 1
   esr(config-zone-pair-rule)# action permit
   esr(config-zone-pair-rule)# match protocol udp
   esr(config-zone-pair-rule)# match destination-port ISAKMP
   esr(config-zone-pair-rule)# enable
   esr(config-zone-pair-rule)# exit
   esr(config-zone-pair)#   rule 2
   esr(config-zone-pair-rule)# action permit
   esr(config-zone-pair-rule)# match protocol esp
   esr(config-zone-pair-rule)# enable
   esr(config-zone-pair-rule)# exit
   esr(config-zone-pair)# end

   CODE

   Состояние туннеля можно посмотреть командой:

   esr# show security ipsec vpn status IPSECVPN

   CODE

   Конфигурацию туннеля можно посмотреть командой:

   esr# show security ipsec vpn configuration IPSECVPN

   CODE

В firewall необходимо разрешить протокол ESP и ISAKMP (UDP-порт 500, 4500).

Настройка LT-туннелей

LT (англ. Logical Tunnel – логический туннель) – тип туннелей, предназначенный для передачи маршрутной информации и трафика между различными виртуальными маршрутизаторами (VRF Lite), сконфигурированными на одном аппаратном маршрутизаторе. LT-туннель может использоваться для организации взаимодействия между двумя или более VRF с применением ограничений firewall.

Алгоритм настройки

Пример настройки

Задача:

Организовать взаимодействие между хостами, терминированными в двух VRF vrf_1 и vrf_2.

Исходная конфигурация:

hostname esr
ip vrf vrf_1
exit
ip vrf vrf_2
exit
interface gigabitethernet 1/0/1
  ip vrf forwarding vrf_1
  ip firewall disable
  ip address 10.0.0.1/24
exit
interface gigabitethernet 1/0/2
  ip vrf forwarding vrf_2
  ip firewall disable
  ip address 10.0.1.1/24
exit

Решение:

Создадим LT-туннели для каждого VRF с указанием IP-адресов из одной подсети:

esr(config)# tunnel lt 1
esr(config-lt)# ip vrf forwarding vrf_1
esr(config-lt)# ip firewall disable
esr(config-lt)# ip address 192.168.0.1/30
esr(config-lt)# exit
esr(config)# tunnel lt 2
esr(config-lt)# ip vrf forwarding vrf_2
esr(config-lt)# ip firewall disable
esr(config-lt)# ip address 192.168.0.2/30
esr(config-lt)# exit

Укажем для каждого LT-туннеля LT-туннель из VRF, с которым необходимо установить связь, и активируем их:

esr(config)# tunnel lt 1
esr(config-lt)# peer lt 2
esr(config-lt)# enable
esr(config-lt)# exit
esr(config)# tunnel lt 2
esr(config-lt)# peer lt 1
esr(config-lt)# enable
esr(config-lt)# exit

Если в VRF не сконфигурирован ни один из протоколов динамической маршрутизации, то необходимо указать статические маршруты для каждого VRF:

esr(config)# ip route vrf vrf_1 0.0.0.0/0 192.168.0.2
esr(config)# ip route vrf vrf_2 0.0.0.0/0 192.168.0.1

CODE